PT-2026-5312
CVE-2026-24780
·
تاريخ النشر
2026-01-29
·
تاريخ التحديث
2026-07-07
الوصف من
CVSS 4.0
9.4
حرجةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات AutoGPT الأقدم من 0.6.44
الوصف
تسمح نقاط نهاية تنفيذ الكتل في منصة AutoGPT، سواء واجهة برمجة التطبيقات (API) الرئيسية على الويب أو واجهة برمجة التطبيقات الخارجية، بتنفيذ الكتل باستخدام معرّف UUID دون التحقق من العلامة
disabled. وهذا يسمح لأي مستخدم تمت مصادقته بتنفيذ BlockInstallationBlock المعطل، الذي يقوم بكتابة كود Python تعسفي في نظام ملفات الخادم وتنفيذه باستخدام import ()، مما يؤدي إلى تنفيذ كود عن بُعد (RCE). في عمليات النشر ذاتية الاستضافة القياسية حيث يكون التسجيل في Supabase ممكّنًا، يمكن للمهاجم التسجيل. إذا كان التسجيل معطلاً (على سبيل المثال، في عمليات النشر المستضافة)، فإن المهاجم يحتاج إلى حساب موجود بالفعل. يستخدم BlockInstallationBlock المعرض للثغرة معرّف UUID مبرمجًا بشكل ثابت. يقوم الكتلة الخطرة بتسجيل كود مقدم من المهاجم في نظام ملفات الخادم وتنفيذه عبر import (). تقع نقطة النهاية الرئيسية لواجهة برمجة التطبيقات (API) على الويب في /blocks/{block id}/execute وتتطلب تسجيل دخول المستخدم. تقع نقطة النهاية الخاصة بواجهة برمجة التطبيقات الخارجية في /external-api/v1/blocks/{block id}/execute وتتطلب مفتاح واجهة برمجة التطبيقات (API) مع الإذن EXECUTE BLOCK، والذي يمكن لأي مستخدم إنشاؤه عبر واجهة برمجة التطبيقات الرئيسية.التوصيات
قم بالتحديث إلى الإصدار 0.6.44 أو أحدث من AutoGPT.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾